ACINQ 发布 Eclair v0.14.4:重点修复浏览器伪造命令漏洞
ACINQ 已发布 Eclair v0.14.4,这是对其比特币闪电网络(Lightning Network)节点实现的一项以安全为重点的更新。该版本旨在阻止经过伪造的浏览器命令,防止恶意网页通过项目的应用程序接口(API)向正在运行的闪电网络节点发送指令。
核心安全问题:跨站请求伪造
此次发布解决的核心问题是 API 层的跨站请求伪造(CSRF)风险。构造不良的网页可以向本地可访问的 Eclair API 端点发送命令,从而在运营商不知情的情况下有效控制节点。这种暴露被视为针对节点控制界面的浏览器发起的攻击路径。
Eclair 作为闪电网络的参考节点实现之一,其 API 被运营商、应用程序开发人员以及基于闪电网络构建系统的集成商广泛使用。理论上,如果伪造的浏览器命令能够触及该 API,可能会在未获得运营商明确批准的情况下触发通道操作或资金转移。
安全边界的强化
v0.14.4 版本加强了浏览器上下文请求与合法 API 调用之间的隔离。通过阻止源自未授权访问 API 的浏览器环境的命令,该版本关闭了一条潜在的攻击路径:即当运营商运行 Eclair 节点时,访问不受信任的网站可能导致节点遭受外部命令注入。
具体的执行机制细节可见于 GitHub 上的官方 v0.14.4 发布说明。这延续了 Eclair 版本历史中逐步加固的模式。此前的工作解决了费用计算的边缘情况,而本轮更新则针对 API 的信任边界。对于在非回环接口上公开其 Eclair API 的运营商而言,此类问题的风险要高于仅在本地严格运行的运营商。
运营商升级后的操作步骤
拥有面向浏览器的 Eclair API 集成的节点运营商和开发人员,应在进行生产环境更改之前,审查其部署的版本是否符合 v0.14.4 发布要求,并查阅官方发布说明。ACINQ 对其发布的版本进行了签名;项目提供了 PGP 验证材料,供运营商在部署前确认二进制文件的完整性。
构建与 Eclair 后端通信的 Web 界面的应用程序开发人员,应审计前端如何构建和验证 API 请求,因为此次更新改变了节点评估传入命令来源的方式。请遵循 ACINQ 的项目指南,以获取针对特定集成模式的迁移步骤。
BTC

交易所
交易所排行榜
24小时成交排行榜
人气排行榜
交易所比特币余额
交易所资产透明度证明
去中心化交易所
资金费率
资金费率热力图
爆仓数据
清算最大痛点
多空比
大户多空比
币安/欧易/火币大户多空比
Bitfinex杠杆多空比
ETF追踪
索拉纳ETF
瑞波币ETF
香港ETF
比特币持币公司
加密资产反转
以太坊储备
HyperLiquid钱包分析
Hyperliquid鲸鱼监控
大额转账
链上异动
比特币回报率
稳定币市值
期权分析
新闻
文章
财经日历
专题
钱包
合约计算器
账号安全
资讯收藏
自选币种
我的关注